« Des vulnérabilités de type 0-day activement exploitées dans VPN Ivanti permettent aux pirates informatiques de créer des portes dérobées dans les réseaux. »

Des acteurs de menace inconnus ciblent activement deux vulnérabilités critiques de type zero-day qui leur permettent de contourner l’authentification à deux facteurs et d’exécuter un code malveillant à l’intérieur des réseaux qui utilisent un appareil VPN largement utilisé vendu par Ivanti, ont déclaré des chercheurs mercredi. « Lorsqu’elles sont combinées, ces deux vulnérabilités rendent trivial pour les attaquants d’exécuter des commandes sur le système », ont écrit les chercheurs de la société de sécurité Volexity dans un article résumant leurs conclusions d’enquête sur une attaque qui a touché un client le mois dernier. « Dans cet incident particulier, l’attaquant a exploité ces failles pour voler des données de configuration, modifier des fichiers existants, télécharger des fichiers à distance et accéder en sens inverse à l’appareil VPN ICS. » Les chercheurs Matthew Meltzer, Robert Jan Mora, Sean Koessel, Steven Adair et Thomas Lancaster ont poursuivi : Volexity a observé l’attaquant en train de modifier des composants légitimes de l’ICS et de faire des modifications du système pour échapper à l’outil de vérification d’intégrité de l’ICS. Notamment, Volexity a observé que l’attaquant a installé une porte dérobée dans un fichier CGI légitime (compcheck.cgi) de l’appareil VPN ICS pour permettre l’exécution de commandes. De plus, l’attaquant a également modifié un fichier JavaScript utilisé par le composant Web SSL VPN de l’appareil afin de récupérer les frappes clavier et d’extraire les informations d’identification des utilisateurs qui s’y connectent. Les informations et les informations d’identification collectées par l’attaquant lui ont permis de passer à quelques systèmes en interne pour finalement obtenir un accès illimité aux systèmes du réseau. Les chercheurs ont attribué les piratages à un acteur de menace identifié sous le pseudonyme UTA0178, qu’ils soupçonnent être un acteur de menace au niveau de l’État chinois.